Wir müssen einen Cyber-Vorfallreaktionsplan erstellen, taugen die Vorlagen im Internet was?

Was in den Vorlagen meistens fehlt, sind konkrete Anweisungen zur technischen Isolation. Wenn sich ein Rechner Ransomware einfängt, zieht man nicht den Netzstecker, sondern das Netzwerkkabel und sichert ein RAM-Image. Solche technischen Details gehören in kurzen Stichpunkten in den Plan.

Nehmt die Vorlage und behaltet nur die Überschriften. Als wir unseren ersten Plan geschrieben haben, standen da einfach die Handynummern von allen drin und wer die Vertretung hat um im Notfall den Server runterzufahren... Ausdrucken ans schwarze Brett pinnen fertig. Das ist am saubersten.

Welche Frist schreibt euch der Kunde im Vertrag vor, um ihn bei einer potenziellen Datenpanne zu informieren? Wenn ihr diese Stundenzahl nicht ins Zentrum eures Plans stellt, lauft ihr direkt in eine Vertragsverletzung.

Wir hatten letzten Monat ein ganz ähnliches Audit bei einem Großkunden. Wir haben einen schlanken 6-Seiter vorgelegt. Der Auditor hat das Ding sofort durchgewunken – genau weil die Rollen klar definiert waren, statt des üblichen 50-seitigen Copy-Paste-Mülls.

Mitten in der Krise liest doch kein Mensch ein 40-seitiges PDF. Wenn ihr ein Szenario nicht mindestens einmal als Tabletop-Übung mit dem gesamten Team durchgespielt habt, ist der Plan nur ein Stück Papier, um den Auditor zu beruhigen.

Drei Kontakte müssen unbedingt griffbereit in eurem Plan stehen: 1) Die 24/7-Notfallhotline eures Hosting-Providers, 2) die Direktnummer eures Anwalts und 3) der Kontakt zu einem externen Incident-Response-Dienstleister.

als wir damals gehackt wurden hatten wir zwar ne vorlage aber die passwörter lagen genau auf dem server der dicht war. naja druckt euch den plan auf jeden fall aus und legt ihn in die schublade sag ich euch.

wie genau läuft so eine Tabletop-Übung eigentlich ab? setzt man sich da einfach mit dem Team zusammen und spricht ein Szenario durch oder muss man wirklich technisch Systeme abschalten und das live testen?

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Du hast recht, ich bin denselben Weg gegangen. Wer bei vorfallreaktionsplan hetzt, stolpert alle an derselben Stelle.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ja, die Situation bei vorfallreaktionsplan ist genau so. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn es jemand anders macht, würde mich das auch interessieren.

Kurzfassung für Neueinsteiger: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich möchte kurz warnen. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Entschuldigung, aber das gilt nicht in jedem Fall. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

An deiner Stelle würde ich so vorgehen.

Ich würde mich freuen, wenn du das Ergebnis postest.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Ich hoffe, das hilft dir weiter.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Das war's, entschuldige, wenn ich zu lang war.

Meine Frage ist geklärt, vielen Dank. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Aus Erfahrung weiß ich das.